Personvernerklæring

Lyriot («vi», «oss») er forpliktet til å verne om personvernet ditt. Denne erklæringen forklarer hvordan vi samler inn, bruker, deler og beskytter personopplysningene dine, i samsvar med personvernforordningen (GDPR) og gjeldende fransk rett.

Vi samler inn følgende kategorier av opplysninger:

• Registreringsopplysninger: fullt navn, e-postadresse, kryptert passord (bcrypt), by, land, kjønn, fødselsdato, telefonnummer (valgfritt).
• Profilopplysninger: profilbilde (lagret hos Cloudflare R2), presentasjon, interesser.
• Aktivitetsopplysninger: arrangementer du har opprettet og deltatt på, påmeldinger til venteliste, publiserte kommentarer, reaksjoner, innsjekkinger med QR-kode, utvekslede meldinger (innhold og tidspunkt), vennskap, lesestatus for meldinger (lesebekreftelser), oppnådde utmerkelser, aktivitetsrekker, invitasjonskode og liste over vervede personer.
• Spillifiseringsopplysninger: poeng samlet etter kilde, gjeldende rang, poengtavlehistorikk, aktive boosts og når de utløper, saldo og historikk for poenglommeboken.
• Betalingsopplysninger: transaksjonshistorikk (abonnementer, betalte arrangementer, boosts), aktivt abonnement og fornyelsesdato. Bank- og kortopplysninger behandles utelukkende av Stripe – vi lagrer dem aldri.
• Arrangøropplysninger (Stripe Connect): for arrangører som mottar betalinger, samler Stripe inn opplysningene til identitetskontroll direkte: identitet (navn, fødselsdato, innskannet legitimasjon), fullstendig postadresse, bankopplysninger (IBAN eller kontonummer) og eventuelt foretaksopplysninger (foretaksnavn, organisasjonsnummer). Disse opplysningene omfattes av personvernerklæringen til Stripe.
• Posisjonsopplysninger: GPS-koordinater (breddegrad/lengdegrad) som oppgis når et arrangement opprettes, for å vise kartet og gjøre søk etter nærhet mulig. Vi samler aldri inn posisjonen din løpende. Hvis du allerede har tillatt posisjon på enheten din, brukes posisjonen din, avrundet til omtrent ti kilometer, også til å sortere byforslag; den lagres ikke på kontoen din.
• Søknadsopplysninger: CV, søknadsbrev og LinkedIn-adresse sendt via /careers/apply og lagret hos Cloudflare R2 (bucket «resumes»). De oppbevares i høyst 2 år.
• Kontaktopplysninger: navn, e-postadresse og innholdet i meldinger sendt via skjemaet /contact.
• Tekniske opplysninger: IP-adresse, nettlesertype, besøkte sider, dato og klokkeslett for tilkobling, øktidentifikator (NextAuth), tokener for push-varsler (Firebase).

Opplysningene dine brukes til å:

• Levere, drifte og forbedre tjenestene våre
• Autentisere deg og beskytte kontoen din (innlogging med e-post og passord eller via Google OAuth)
• Vise deg arrangementene, profilene og poengtavlene som er relevante for deg
• Behandle betalinger (abonnementer, betalte arrangementer, boosts) via Stripe
• Utbetale midler til arrangører av betalte arrangementer via Stripe Connect
• Sende varsler (e-post med Resend, push med Firebase)
• Tildele poeng automatisk hvert 15. minutt via planlagte oppgaver (cron)
• Beregne og oppdatere rangen til brukerne automatisk
• Opprette gjentakelsene av gjentakende arrangementer (ukentlige, månedlige og så videre)
• Kreve inn og overføre betalinger for arrangementer til arrangørene
• Nullstille uke-, måneds- og årspoengtavlene med jevne mellomrom
• Kontrollere vilkårene i vervingsprogrammet (forebygging av misbruk)
• Vise nettstatusen din og den siste aktiviteten din til vennene dine
• Gjøre moderering av innhold og behandling av rapporter mulig
• Forebygge svindel, misbruk og flere kontoer
• Oppfylle våre rettslige og regnskapsmessige plikter

Vi behandler opplysningene dine på følgende rettslige grunnlag:

• Oppfyllelse av avtalen: for å levere Lyriot-tjenestene du har meldt deg på (konto, arrangementer, betalinger, meldinger)
• Berettiget interesse: for å forbedre plattformen, forebygge svindel, ivareta sikkerheten, vise nettstatus og føre poengtavlene
• Samtykke: til push-varsler (kan trekkes tilbake når som helst i innstillingene) og til valgfri markedsføring
• Rettslig forpliktelse: for å overholde gjeldende regelverk, særlig regnskapsplikter (oppbevaring i 5 år) og pålegg fra påtalemyndighet eller domstol

Vi selger aldri personopplysningene dine. Vi deler dem kun med våre tekniske leverandører, og bare i den grad det er nødvendig for å levere tjenesten:

• Stripe: behandling av betalinger (abonnementer, betalte arrangementer, boosts) og utbetalinger til arrangører via Stripe Connect — erklæringen til Stripe
• OVH: drift av PostgreSQL-databasen (VPS, Frankrike); Cloudflare R2: lagring av filer (profilbilder, CV-er)
• Resend: utsending av transaksjons-e-poster (bekreftelse av registrering, tilbakestilling av passord, varsler om arrangementer)
• Mapbox: visning av de interaktive kartene for arrangementenes sted og søk etter nærhet
• Photon (komoot) og Nominatim (OpenStreetMap Foundation, data i Storbritannia og Nederland): byforslag mens du skriver; Nominatim brukes bare hvis Photon ikke svarer. Serverne våre sender bare den innskrevne teksten og, til Photon, en omtrentlig posisjon: midten av landet ditt eller, hvis du allerede har tillatt posisjon, posisjonen din avrundet til omtrent ti kilometer. Navnet ditt, IP-adressen din og kontoen din sendes aldri til dem.
• Firebase (Google): utsending av push-varsler til enhetene dine (hvis du har slått dem på)
• Google OAuth: hvis du velger å logge inn med Google, overføres navnet ditt, e-postadressen din og Google-profilbildet ditt til Lyriot
• Kompetente myndigheter: når loven, en rettsavgjørelse eller ivaretakelsen av våre berettigede rettigheter krever det

Enkelte leverandører er etablert utenfor Den europeiske union (Firebase/Google, Stripe, i USA). Disse overføringene er sikret ved:

• Standard personvernbestemmelsene vedtatt av Europakommisjonen
• Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå (for eksempel EU–US Data Privacy Framework for Stripe og Google)
• De nødvendige garantiene fastsatt i artikkel 46 i GDPR

Vi oppbevarer opplysningene dine så lenge kontoen din er aktiv. Sletter du den, fjernes de innen 30 dager, med mindre en rettslig plikt er til hinder for det:

• Transaksjonsopplysninger: 5 år (fransk regnskapsplikt)
• Søknadsopplysninger (CV-er, brev): høyst 2 år
• Tekniske logger: 12 måneder
• Modererings- og sanksjonshistorikk: uten tidsbegrensning (sikkerhet og forebygging av misbruk)
• Slettede private meldinger: metadataene (dato, deltakere) kan oppbevares også etter at innholdet er slettet

Etter GDPR har du følgende rettigheter:

• Rett til innsyn: se opplysningene vi har om deg
• Rett til retting: rette uriktige opplysninger (direkte i Innstillinger eller ved å kontakte oss)
• Rett til sletting: slette kontoen din via Innstillinger → Sensitivt område (behandles innen 30 dager)
• Rett til dataportabilitet: få en kopi av opplysningene dine i et strukturert format
• Rett til å protestere: protestere mot visse behandlinger (for eksempel markedsføring eller nettstatus)
• Rett til begrensning: be om at behandlingen settes på vent i visse tilfeller
• Rettigheter ved automatiserte avgjørelser: bli informert om automatisert behandling (tildeling av poeng, beregning av rang, kontroll av vervinger) og bestride resultatet

Slik utøver du disse rettighetene: kontaktskjema. Du kan også klage til CNIL.

Tekniske og organisatoriske tiltak som er innført:

• Kryptering av all kommunikasjon under overføring (HTTPS/TLS)
• Passord kryptert med bcrypt (lagres aldri i klartekst)
• Tilgang til opplysninger begrenset etter prinsippet om minste privilegium
• Sikker lagring av filer hos Cloudflare R2 (tilgang via midlertidig signert URL)
• CSRF-beskyttelse i alle skjemaer (NextAuth-token)
• Logging av administrative handlinger
• Regelmessige sikkerhetskopier av databasen
• Ved brudd på personopplysningssikkerheten varsles de berørte innen 72 timer, slik GDPR krever

Vi bruker tekniske informasjonskapsler som er nødvendige for at plattformen skal virke (brukerøkt, CSRF-beskyttelse). Vi bruker også nettleserens lokale lagring til å huske innstillingene dine (lyst eller mørkt tema, visningsvaluta, språk): disse opplysningene forlater aldri enheten din. Les mer i erklæringen vår om informasjonskapsler.

Lyriot er åpen for personer som har fylt 15 år, i samsvar med artikkel 7-1 i den franske personvernloven. I land der lovgivningen fastsetter en annen alder (for eksempel 13 år i USA etter COPPA, eller 16 år i enkelte EU-medlemsstater), gjelder den mest beskyttende alderen. Vi samler ikke bevisst inn opplysninger om mindreårige som ikke har nådd påkrevd alder. Mener du at en slik mindreårig har opprettet en konto, ber vi deg kontakte oss umiddelbart.

I tillegg til den europeiske personvernforordningen følger Lyriot disse personvernreglene avhengig av hvilket land du bor i:

• California (CCPA/CPRA): bor du i California, har du ytterligere rettigheter etter California Consumer Privacy Act og California Privacy Rights Act: rett til å få vite hvilke personopplysninger som samles inn, rett til sletting, rett til å motsette deg salg av opplysninger (vi selger ikke opplysningene dine) og rett til ikke å bli forskjellsbehandlet fordi du bruker dem. Skriv til oss på contact@lyriot.com for å gjøre dem gjeldende.
• Storbritannia (UK GDPR): vi følger den britiske personvernforordningen etter brexit. Tilsynsmyndigheten er ICO (Information Commissioner's Office). Rettighetene dine tilsvarer dem i den europeiske forordningen.
• Brasil (LGPD): etter Lei Geral de Proteção de Dados Pessoais har du rett til innsyn, retting, sletting, dataportabilitet og protest. Kompetent myndighet er ANPD (Autoridade Nacional de Proteção de Dados).
• Canada (PIPEDA + lov 25): vi følger loven om vern av personopplysninger og elektroniske dokumenter (PIPEDA) og, i Québec, lov 25 (loven som moderniserer bestemmelsene om vern av personopplysninger). Myndigheter: OPC (føderalt) og CAI (Québec).
• Australia (Privacy Act 1988): vi følger den australske personvernloven og Australian Privacy Principles. Kompetent myndighet er OAIC (Office of the Australian Information Commissioner).
• Japan (APPI): etter loven om vern av personopplysninger (個人情報の保護に関する法律) oppfyller vi pliktene i APPI. Kompetent myndighet er PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Kina (PIPL): etter loven om vern av personopplysninger (个人信息保护法) behandler vi opplysningene dine etter prinsippene om lovlighet, legitimitet og nødvendighet. Kompetent myndighet er CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Sør-Korea (PIPA): etter loven om vern av personopplysninger (개인정보 보호법) har du rett til innsyn, retting, sletting og protest. Kompetent myndighet er PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• India (DPDP Act 2023): etter Digital Personal Data Protection Act 2023 har du rett til informasjon, retting og sletting av dine digitale personopplysninger. Kompetent organ er Data Protection Board of India (under opprettelse av MeitY).
• Tyrkia (KVKK): etter lov nr. 6698 om vern av personopplysninger (Kişisel Verilerin Korunması Kanunu) har du rett til innsyn, retting og sletting. Kompetent myndighet er KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesia (UU PDP): etter lov nr. 27/2022 om vern av personopplysninger (Undang-Undang Perlindungan Data Pribadi) omfatter rettighetene dine innsyn, retting og sletting. Kompetent organ er Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): etter Personal Data Protection Act B.E. 2562 (2019) har du rett til innsyn, dataportabilitet, sletting og protest. Kompetent organ er PDPC (Personal Data Protection Committee).
• Saudi-Arabia (PDPL): etter Personal Data Protection Law (نظام حماية البيانات الشخصية) har du rett til innsyn og retting. Kompetent myndighet er SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Tilsynsmyndigheter per land :

Vi kan når som helst oppdatere denne erklæringen. Ved vesentlige endringer varsler vi deg på e-post eller med et varsel på plattformen. Fortsetter du å bruke Lyriot etter et slikt varsel, regnes det som at du godtar endringene.

Denne erklæringen er utarbeidet på fransk. Versjoner på andre språk er oversettelser som kun tilbys til orientering; ved avvik er det bare den franske versjonen som er juridisk bindende.

Behandlingsansvarlig: Lyriot, Frankrike.

Har du spørsmål om personopplysningene dine, vil du utøve rettighetene dine etter GDPR (innsyn, retting, sletting, dataportabilitet, protest, begrensning), eller vil du klage på behandlingen av opplysningene dine: kontaktskjema eller direkte til contact@lyriot.com.

Du kan også klage til kompetent tilsynsmyndighet: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.